L’obtention d’une adresse IP par les policiers dans le cadre de leur enquête constitue-t-elle une fouille au sens de l’article 8 de la Charte?

Par Anne-Geneviève Robert, avocate et Samy Chekir, Avocat

Dans l’affaire R. c. Bykovets, 2024 CSC 6, la Cour suprême revisite les questions de protection de la vie privée des Canadiennes et des Canadiens sous l’angle de l’article 8 de la Charte canadienne des droits et libertés (la « Charte »). La Cour doit déterminer si une adresse IP peut faire l’objet d’une attente raisonnable au respect de la vie privée. Au terme de son analyse, elle conclut qu’un individu a une attente raisonnable au respect de sa vie privée quant à son adresse IP. Les démarches de l’État en vue d’obtenir la communication d’une adresse IP sont assimilées à une fouille et sont sujettes à l’application de l’article 8 de la Charte.

Contexte

Dans cette affaire de l’Alberta, la police a communiqué avec Moneris, l’entreprise qui s’occupait des ventes en ligne d’un magasin de vins et de spiritueux, afin d’obtenir, dans la cadre de leur enquête sur des achats frauduleux, les adresses IP utilisées à cette fin. Suite à l’obtention de deux adresses IP par une remise volontaire de la part de Moneris, les enquêteurs ont obtenu une ordonnance de communication afin que le fournisseur de services Internet révèle l’identité du client se trouvant derrière chaque adresse, soit par leur nom et leur adresse. En l’espèce, une des adresses était enregistrée au nom de l’appelant et l’autre au nom de son père. Ces renseignements personnels leur ont permis d’obtenir des mandats de perquisition et, éventuellement, ont mené à l’arrestation de M. Bykovets.

Ce dernier a donc contesté la demande d’obtention des adresses IP puisque selon lui, cela violait son droit prévu à l’article 8 de la Charte, soit celui le protégeant contre les fouilles, les perquisitions et les saisies abusives. Le juge de première instance a cependant conclu qu’il ne s’agissait pas d’une fouille au sens de la Charte, puisqu’une adresse IP n’emporte aucune attente raisonnable quant au respect de sa vie privée. Ainsi, M. Bykovets a été reconnu coupable des infractions en lien avec les achats frauduleux. La Cour d’appel, en accord avec la conclusion du juge du procès à l’effet qu’il n’y a aucune attente raisonnable au respect de la vie privée dans ces circonstances, a rejeté l’appel.

Alors que la Cour suprême a déjà statué à l’effet qu’il existe une attente raisonnable au respect de la vie privée concernant les renseignements relatifs à l’utilisateur d’une adresse IP¹ , comme son nom, son adresse et ses coordonnées, elle confirme maintenant que l’adresse IP en soi suscite aussi une telle attente.

Décision

Le cadre d’analyse

La Cour suprême, dans cet arrêt, décrit la protection de la vie privée comme étant une condition essentielle d’une démocratie libre, épanouie et en santé. L’article 8 de la Charte, en protégeant le droit de ne pas subir une fouille, une perquisition ou une saisie abusive, permet aux individus de garder le contrôle sur la communication des renseignements personnels qui les concernent – ce que la Cour décrit comme étant l’autodétermination informationnelle – et, ainsi, assurer la conservation de leur dignité, autonomie et croissance personnelle² .

Comme la Cour l’indique dans cette affaire, considérant l’importance d’Internet dans la société actuelle, l’article 8 de la Charte joue un rôle crucial de protection quant à la vie privée en ligne des individus, et il se doit de protéger, par le fait même, leur adresse IP. En tant que numéro d’identification unique, « une adresse IP est le lien crucial entre un internaute et son activité en ligne » (par. 28). Elle permet notamment d’identifier l’activité d’un individu sur Internet, et le fournisseur de services Internet conserve les renseignements relatifs à l’utilisateur derrière chaque adresse IP. Pour ces raisons, elle suscite donc une attente raisonnable au respect de la vie privée. Cela signifie donc que lorsque l’État demande d’obtenir une adresse IP, il exécute une fouille au sens de l’article 8 de la Charte. Nous verrons comment la Cour en arrive à ces conclusions.

Évidemment, pour établir qu’il y a eu une violation en vertu de cet alinéa, il faut d’abord qu’il y ait eu une fouille, une perquisition ou une saisie. Pour qu’il y ait fouille, une attente raisonnable au respect de sa vie privée doit être en jeu. Afin de déterminer s’il y a une attente au respect de la privée, les tribunaux analysent plusieurs facteurs interreliés et qui sont souvent concurrents entre eux. Ceux-ci peuvent se présenter sous quatre catégories :

1) L’objet de la fouille;
2) L’intérêt du demandeur à l’égard de l’objet;
3) L’attente subjective du demandeur au respect de sa privée; et
4) La question de savoir si l’attente subjective au respect de la vie privée est objectivement raisonnable.

Dans la présente cause, le fait que M. Bykovets avait un intérêt direct à l’égard des adresses IP et une attente subjective au respect de sa vie privée en lien avec les renseignements contenus à ces adresses n’était pas contesté. La Cour concentre donc son analyse sur l’objet de la fouille et sur le caractère raisonnable de l’attente subjective à la vie privée.

L’objet de la fouille

La Cour précise que, comme pour l’ensemble des droits garantis par la Charte, celui prévu à l’article 8 doit bénéficier d’une interprétation large et téléologique. Pour pouvoir apprécier l’attente au respect de la vie privée en lien avec les adresses IP, le juge peut commencer par se demander ce que les policiers cherchaient réellement et tenir compte du fait que les enquêteurs souhaitaient obtenir ces adresses dans le but d’acquérir davantage de renseignements sur l’utilisateur, notamment son identité. De plus, pour déterminer l’objet de la fouille, il ne suffit pas de regarder le renseignement directement obtenu, à savoir l’adresse IP, mais il faut plutôt prendre en considération les inférences qui pourront être tirées de celle-ci afin d’obtenir d’autres renseignements personnels. Il faut donc évaluer le « risque [que la fouille] révèle des renseignements d’ordre personnels ou biographiques »³ .

L’adresse IP est en fait « le premier fragment numérique qui peut mener l’État sur la trace de l’activité Internet d’une personne » (par. 9). Même sans autre mandat, l’adresse IP permet de recueillir l’activité en ligne d’un utilisateur. La Cour rappelle que les tribunaux doivent être prudents lorsque vient le temps de déterminer l’objet d’une fouille en lien avec des données électroniques.

Attente subjective objectivement raisonnable

Une fois la question de l’objet de la fouille adressée, la Cour se penche sur l’attente subjective à laquelle pouvait prétendre M. Bykovets en l’espèce. Citant l’arrêt Hunter et autres c. Southam Inc.⁴ , la Cour nous rappelle que « [l]a question, dans tous les cas, est celle de savoir « si, dans une situation donnée, le droit du public de ne pas être importuné par le gouvernement doit céder le pas au droit du gouvernement de s’immiscer dans la vie privée des particuliers afin de réaliser ses fins et, notamment, d’assurer l’application de la loi » (Hunter, p. 159‑160). » (par. 44)

Pour y répondre, la Cour procède à l’analyse des principaux facteurs répertoriés par la jurisprudence, soit (i) le contrôle d’un individu sur l’objet de la fouille, (ii) le lieu de la fouille et (iii) le caractère privé de l’objet de la fouille; reconnaissant toutefois que ces facteurs sont à certains égards quelque peu désuets au contexte technologique.

En effet, le droit à la vie privée dans un contexte technologique nous force à concentrer notre analyse sur l’intimité informationnelle d’un individu plutôt que son intimité territoriale. L’idée étant que l’on souhaite protéger l’information relative à un individu, et ce, sans égard au lieu physique où cette information peut se trouver. Conséquemment, dans son analyse du premier facteur, la Cour rappelle en quoi l’approche canadienne diffère de manière non négligeable de l’approche américaine en ce sens que le simple fait pour un Canadien d’avoir consenti à divulguer à un tiers une information le concernant n’équivaut pas à une renonciation à tout droit à sa vie privée en lien avec l’information ainsi divulguée. L’accès à Internet nécessitant un certain partage d’informations, il serait déraisonnable d’exiger aux parties prenantes de renoncer à un droit fondamental pour pouvoir utiliser une ressource prenant une place aussi importante dans notre quotidien, ou de renoncer à cette ressource tout simplement. Ainsi, ce premier facteur n’est pas déterminant à l’analyse de la Cour.

La réalité technologique rend encore une fois difficile un examen sous le facteur du lieu de la fouille, lequel est mieux adapté à une analyse visant l’intimité territoriale. La majorité de la Cour est donc d’avis que « [p]ar conséquent, l’absence d’intrusion physique soulignée par la juge du procès nous renseigne peu sur le caractère raisonnable d’une attente au respect de la vie privée. » (par. 50)

La Cour se rabat donc sur l’analyse du caractère privé de l’objet pour appuyer son raisonnement. Elle nous enseigne par le fait même l’approche à prendre pour une telle analyse. En effet, il importe peu de savoir quelle information l’État souhaite obtenir, en l’espèce l’adresse IP d’un individu, ni les informations qu’il cherche à découvrir avec cette information. C’est plutôt l’ensemble des informations pouvant découler de l’information que cherche à obtenir l’État qui importe. La technologie a amené avec elle une quantité quasi illimitée d’informations qui, grâce notamment à Internet, nous permet d’y avoir accès au bout de nos doigts en permanence. Cet accès exige un échange d’informations au terme duquel l’utilisateur partage, parfois sans le savoir, des renseignements pouvant dévoiler des détails relatifs à des préférences, des habitudes de vie et des intérêts. L’utilisateur peut raisonnablement souhaiter que ces détails relatifs à sa vie privée demeurent confidentiels.

Adressant la position de la Couronne voulant que l’adresse IP à elle seule ne révèle rien, la Cour soulève l’argument voulant qu’au contraire, l’adresse IP à elle seule soit une information renfermant d’importants renseignements sur un individu, identifié ou non. Cette adresse permet en effet de révéler les habitudes de navigation web d’un individu et même de le lier à certains comptes en ligne permettant ainsi de suivre son activité et révéler son identité que l’on voulait certainement garder anonyme. Force est de constater le caractère hautement privé de l’adresse IP et des renseignements qu’elle peut dévoiler.

Équilibre entre l’intérêt d’un individu et celui de la société

Ce caractère privé justifie-t-il, toutefois, de protéger la confidentialité de l’adresse IP à tout prix? Une telle attente au respect de la vie privée est-elle raisonnable? Pour répondre à ces questions, il nous faut mettre en balance l’intérêt d’un individu à protéger sa vie privée et l’intérêt de la société à assurer la sécurité de tous. Dans cet exercice, la Cour est d’avis que le droit individuel prend le pas sur le droit collectif lorsque l’enjeu tourne autour de la divulgation de l’adresse IP.

Considérant la quantité et la nature des données pouvant être révélées par l’adresse IP d’un individu, il est en effet primordial de s’assurer que la divulgation de cette information à l’État soit des plus encadrées. La particularité ici est qu’alors que jusqu’à maintenant ces questions se posaient principalement dans le cadre d’un rapport bipartite entre l’individu et l’État, la réalité d’Internet est que l’on doit désormais intégrer certains tiers dans cette relation, lesquels tiers, bien qu’ils ne soient pas sujets à l’application de l’article 8 de la Charte étant des parties privées, sont désormais impliqués dans une relation qui en est l’objet. Mais le seul fait que l’adresse IP ne permette pas à elle seule d’identifier un individu sans l’intervention de certains de ces tiers n’en fait pas moins d’elle un renseignement à caractère personnel qui tend à révéler l’identité de l’utilisateur. En ce sens, ces tiers, privés, ont donc la capacité d’augmenter considérablement la portée du pouvoir de l’État et son intrusion dans la vie privée des citoyens.

Ceci étant, il est vrai que si Internet facilite l’accès, notamment à l’État, à une quantité importante de renseignements sur ses utilisateurs, il facilite également la commission de nombreuses infractions. Par conséquent, il demeure légitime que des mesures puissent être mises en place afin de permettre aux autorités de détecter et prévenir les crimes. Toutefois, cet objectif qu’ont les autorités se réalise tout à fait dans un contexte similaire à celui du présent dossier par l’obtention des ordonnances appropriées auprès des tribunaux. Ceux-ci, dans leur rôle de gardien des droits des individus, sont à même d’évaluer les intérêts de la société d’assurer la sécurité des citoyens dans le cadre du droit à la vie privée de chaque individu. Ce faisant, ils pourront baliser les pouvoirs d’enquête des autorités afin de leur permettre d’accomplir leur rôle sans porter indûment atteinte aux droits de l’individu visé. La Cour rappelle d’ailleurs à cet effet que :

La surveillance judiciaire en ce qui a trait à une adresse IP est le moyen de réaliser l’objectif de l’art. 8 d’empêcher les atteintes à la vie privée. Depuis l’arrêt Hunter, nous avons statué que cette disposition vise à empêcher les violations de la vie privée, et non à condamner ou à admettre des violations après le fait eu égard à l’utilisation que fait l’État de ces renseignements. Le droit à la vie privée, une fois qu’il y a été porté atteinte, ne peut pas être rétabli. (par. 88)

La solution proposée par la Cour en l’espèce permet donc de retirer le pouvoir aux tiers privés de déterminer quand, comment et quelle quantité d’information communiquer aux autorités et remet ce pouvoir dans les mains des tribunaux en charge de l’application de l’article 8 de la Charte.

À la lumière de son analyse, la Cour conclute qu’il est raisonnable pour un individu de s’attendre au respect de sa vie privée à l’égard de son adresse IP, et que l’accès à une telle information par les autorités doit nécessairement être encadré par les tribunaux.

Le texte intégral de la décision est disponible ici.

Découvrez un autre article sur le sujet :

Adresse IP : La police peut-elle obtenir l’information sans mandat de votre fournisseur Internet?

[1] R. c. Spencer, 2014 CSC 43, par. 1.

[2] R. c. Jones, 2017 CSC 60.

[3] R. c. Marakah, 2017 CSC 59, par. 32.

[4] [1984] 2 R.C.S. 145, p. 159, 160.